VPCのサブネット間で、特定のソースIPからの通信を拒否(Deny)できるのはどれか。

Network ACLはサブネット単位で動作し、ステートレスな許可・拒否の設定が可能です。